Contrato de encargo del tratamiento

Este contrato regula el tratamiento de datos personales que GOexperto hace por cuenta de la gestoría cuando esta usa la plataforma para llevar los trámites de sus clientes. Forma parte de las condiciones de contratación, se acepta al darse de alta —queda registrada la versión aceptada, con su fecha— y dura lo mismo que ellas.

1. Partes

• Responsable del tratamiento: la gestoría, el despacho o el profesional que contrata GOexperto («el responsable»).
• Encargado del tratamiento: Daniel Álvarez Torres, con NIF 30245179H y domicilio en Calle Manzanilla, 6, 41013 Sevilla (España), titular de GOexperto («el encargado»). Contacto: hola@goexperto.com.

2. Objeto, naturaleza, finalidad y duración

El encargado trata los datos únicamente para prestar el servicio, que comprende:

• Guardar y organizar los clientes, los expedientes, los presupuestos, los pagos y los documentos del responsable, y generar con ellos los impresos oficiales, los mandatos y las hojas de encargo.
• Si el responsable enciende su agenda de citas: publicar su enlace para que le pidan cita, guardar cada cita con lo que deja quien la pide (nombre, teléfono, correo si lo da, su nota y lo que conteste a las preguntas del responsable) en los contactos del responsable, y mandarle por correo su cita, sus cambios y, si el responsable lo deja encendido, el recordatorio del día antes.
• Si el responsable enciende los avisos de sus citas por WhatsApp: mandar esos avisos (la cita dada, su cambio de hora y el recordatorio del día antes) desde su número de WhatsApp Business a quien le haya dado su permiso, y contestar con una frase fija a quien confirme su cita desde ellos o pida no recibir más; y guardar la prueba de ese permiso (cuándo, por dónde, quién lo pidió, la frase que se le leyó y el número) y lo que WhatsApp dice de cada aviso.
• Recoger la firma de sus clientes en un enlace, con la autorización expresa del firmante para los documentos que se le indican, y enviarles por correo los enlaces de firma y las hojas de encargo.
• Importar las notificaciones de la DEHU que el responsable trae con su propia sesión, y leerlas, igual que los pasaportes, los documentos y las listas de clientes, con inteligencia artificial que propone datos para que una persona del responsable los confirme.
• Si el responsable conecta su número de WhatsApp Business: recibir los mensajes de quienes le escriben, contestarlos con inteligencia artificial según sus instrucciones y avisar a su equipo; y apuntar a quien pida no recibir más mensajes —contestando BAJA, en la página de su cita o diciéndoselo a su equipo— y respetarlo en todo lo que la plataforma mande desde ese número (los avisos de sus citas y de sus notificaciones).
• Hacer la mudanza de su cartera cuando la pide desde la plataforma: recibir en un almacén privado los ficheros de clientes que sube, prepararlos con el importador para que su equipo los revise e importe, y borrarlos al importarla, al cancelarla o, como tarde, a los 30 días de pedirla. Los prepara una persona del encargado con deber de confidencialidad, que puede leer con inteligencia artificial las imágenes y los PDF, y el responsable ve cuándo se abrieron por primera vez. Pedirla es la instrucción para ese tratamiento, y nada se importa sin que su equipo lo confirme.
• El portal de seguimiento de sus clientes, las alertas de vencimiento, las copias de seguridad y el soporte técnico.

Dura lo que dure el contrato y, al terminar, el plazo de la cláusula de devolución o supresión.

3. Tipos de datos y categorías de interesados

Datos: identificativos y de contacto; documentos de identidad (pasaporte, NIE, DNI) y su imagen; la firma manuscrita digitalizada; la situación administrativa y de extranjería; los datos laborales, académicos, familiares y económicos que pidan los trámites; las comunicaciones de la Administración; las conversaciones de WhatsApp y quién pidió no recibir más; y, en los avisos de citas por WhatsApp, la prueba del permiso. Según el trámite, pueden incluir categorías especiales (art. 9, por ejemplo de salud), datos de condenas penales (art. 10) y datos de menores.

Interesados: los clientes del responsable y sus familiares, representantes y empleadores; las personas que le piden cita o a las que se la da su equipo; las personas que escriben a su número de WhatsApp; y las personas de su equipo que usan la plataforma.

4. Obligaciones del encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son este contrato y el uso que hace de la plataforma, también en cuanto a las transferencias de la cláusula 12. Si la ley obligara a otra cosa, el encargado se lo dirá antes, salvo que la propia ley lo prohíba.
• Avisar de inmediato al responsable si una instrucción suya infringe, a su juicio, el RGPD u otra norma de protección de datos.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad, también después del contrato.
• No usar los datos para fines propios, salvo lo que dice la cláusula 13, ni comunicarlos a nadie fuera de los subencargados de la cláusula 7 o de lo que la ley exija.
• Llevar el registro de las actividades de tratamiento que hace como encargado (art. 30.2).

5. Obligaciones del responsable

• Tratar los datos con una base legal y darle al encargado solo los que hagan falta para el servicio.
• Informar a sus clientes de cómo trata sus datos, incluido que usa un programa en la nube y herramientas de inteligencia artificial, y atender sus derechos.
• Si usa el asistente de WhatsApp: tener base legal para esas conversaciones, mantener el aviso de que quien contesta es una inteligencia artificial y revisar la información con la que contesta.
• Si enciende los avisos de citas por WhatsApp: pedir el permiso a la persona leyéndole la frase que enseña la plataforma, para el número al que se le va a escribir, y marcarlo solo si dice que sí.
• Revisar lo que la inteligencia artificial propone antes de darlo por bueno, y gestionar quién de su equipo tiene acceso.

6. Medidas de seguridad (art. 32)

• Aislamiento por despacho: cada consulta a la base de datos se filtra por la organización de quien la hace (seguridad a nivel de fila).
• Cifrado de las comunicaciones (HTTPS) y de los datos guardados.
• Documentos en un almacén privado: se abren con enlaces temporales que el servidor concede uno a uno, después de comprobar que el documento es de la organización de quien lo pide.
• Control de acceso por usuario y rol, y registro de las acciones del equipo del responsable sobre los datos.
• Copias de seguridad y revisiones de seguridad periódicas.

7. Subencargados

El responsable autoriza con carácter general a estos subencargados, con los que el encargado tiene firmado un contrato con las mismas obligaciones de protección de datos que este (art. 28.4):

• Supabase (Supabase Pte. Ltd., Singapur): base de datos, autenticación y archivos, alojados en Irlanda (UE).
• Vercel (Vercel Inc., Estados Unidos): alojamiento y ejecución de la aplicación, en su región de Dublín (Irlanda).
• Anthropic (Anthropic Ireland, Limited, Irlanda): inteligencia artificial, que procesa en Estados Unidos. No usa los datos para entrenar sus modelos y los borra en un plazo máximo de 30 días, salvo los que deba retener por seguridad o por ley.
• Resend (Plus Five Five, Inc., Estados Unidos): los correos a la gestoría y, por encargo suyo, a sus clientes (enlaces de firma y hojas de encargo) y a su equipo (avisos del asistente).

No son subencargados, y se dice para que no haya dudas: Meta (Meta Platforms Ireland Limited), porque la cuenta de WhatsApp Business es del responsable, que la contrata con Meta a su nombre, y Meta trata esos mensajes como encargado directo suyo; Stripe, que solo cobra la suscripción del responsable a GOexperto (si el responsable cobra a sus clientes con su propia cuenta de Stripe, Stripe lo hace por cuenta de él); y Telegram, porque los avisos por Telegram, si el responsable los activa, no llevan datos de sus clientes.

Antes de incorporar o sustituir un subencargado, el encargado lo avisará por correo con al menos 30 días de antelación. El responsable puede oponerse con motivos razonables en ese plazo; si no se encuentra una solución, puede terminar el contrato sin penalización y llevarse sus datos. El encargado responde ante el responsable de lo que haga cada subencargado.

8. Asistencia al responsable

El encargado ayuda al responsable, teniendo en cuenta la naturaleza del tratamiento, a:

• Atender los derechos de los interesados. La plataforma permite consultar, corregir, exportar y borrar los datos de cada cliente, con sus documentos; para lo demás, el encargado colabora cuando se le pida. Si un interesado se dirige al encargado, este lo remitirá al responsable sin demora.
• Cumplir sus obligaciones de seguridad, de notificación de brechas, de evaluación de impacto y de consulta previa a la autoridad, dándole la información que tenga sobre el tratamiento.

9. Violaciones de seguridad

El encargado notificará al responsable cualquier violación de la seguridad de sus datos sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tenga conocimiento de ella, para que el responsable pueda cumplir sus 72 horas ante la AEPD. Lo hará por correo al administrador de la cuenta, con lo que sepa en ese momento —qué ha pasado, qué datos y cuántas personas afecta aproximadamente, sus consecuencias probables y las medidas tomadas o propuestas— y completará la información después.

10. Devolución o supresión

• En cualquier momento, y al terminar el contrato, el responsable puede pedir la devolución de sus datos: una exportación completa, en un formato abierto y legible por máquina (JSON) con los documentos originales, que el encargado entrega en un máximo de 30 días y sin coste.
• Al terminar, el encargado conserva los datos 90 días, para que el responsable pueda volver o pedir la devolución; le avisa por correo 7 días antes y después los suprime, también de las copias de seguridad en un máximo de 30 días más. Si el responsable pide la devolución, no se suprime nada hasta entregársela. Se exceptúa lo que la ley obligue a conservar, y a petición del responsable el encargado certificará la supresión.
• Lo que el responsable borra desde la aplicación —un cliente o un expediente, con todo lo suyo— pasa 30 días en su papelera, por si fue un error, y después el encargado lo suprime, documentos incluidos. Durante ese tiempo no se usa para nada y solo el responsable puede recuperarlo.

11. Información y auditoría

El encargado pondrá a disposición del responsable la información necesaria para demostrar que cumple este contrato y permitirá las auditorías e inspecciones que haga el responsable o un auditor designado por él, con un preaviso razonable, sin interferir en el servicio de otros clientes y con el compromiso de confidencialidad del auditor.

12. Transferencias internacionales

Los datos se guardan en la Unión Europea (Irlanda). Cuando un subencargado los trate fuera del Espacio Económico Europeo —Anthropic y Resend en Estados Unidos, o el personal de Supabase o Vercel que acceda desde fuera para mantener el servicio—, la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. o en las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914).

13. Estadísticas agregadas y anónimas

El responsable instruye al encargado para elaborar estadísticas agregadas y anónimas sobre el funcionamiento de los procedimientos administrativos (por ejemplo, plazos medios de resolución o frecuencia de requerimientos), con la finalidad de publicarlas de forma agregada y de mejorar el servicio. A la fecha de esta versión no se ha publicado ninguna.

Esta instrucción se somete a las siguientes garantías, que forman parte del contrato:

• Anonimización irreversible previa. El proceso elimina cualquier identificador directo o indirecto antes de la agregación, de modo que el resultado no permite reidentificar a ninguna persona ni por el encargado ni por un tercero. Solo se publica el resultado agregado, nunca el conjunto de datos subyacente.
• Umbral mínimo de agregación. No se publica ninguna cifra que se calcule sobre menos de 50 expedientes ni sobre menos de 5 organizaciones distintas. Los cruces que no alcancen ese umbral se suprimen en lugar de publicarse.
• Sin identificación de despachos. No se publican datos atribuibles a un responsable concreto, ni se comunica a terceros información que permita deducir la actividad, la cartera o los resultados de un despacho identificable.
• Sin categorías especiales. Quedan excluidos del proceso los datos de las categorías del artículo 9 del RGPD, los de condenas penales y los de menores.
• Revocable en cualquier momento. El responsable puede retirar esta instrucción escribiendo a hola@goexperto.com, sin coste ni consecuencia sobre el servicio. La retirada surte efecto para los cálculos posteriores.

Fuera de esta instrucción y de sus garantías, se mantiene íntegra la obligación de la cláusula 4: el encargado no destina los datos a finalidades propias.

14. Responsabilidad y prevalencia

Frente a los interesados, cada parte responde conforme al artículo 82 del RGPD. Entre las partes, se aplica lo que dicen las condiciones de contratación. Si algo de las condiciones contradice este contrato en materia de protección de datos, prevalece este contrato.

Para solicitar una copia firmada de este contrato, escribe a hola@goexperto.com.